[{"data":1,"prerenderedAt":25},["ShallowReactive",2],{"blog-content-fr-how-to-spot-crypto-phishing":3},{"slug":4,"title":5,"excerpt":6,"description":7,"bodyHtml":8,"faqItems":9},"how-to-spot-crypto-phishing","Comment repérer le phishing crypto : faux sites, messages privés et alertes urgentes","Le phishing crypto se repère à l'approche, pas à l'habillage : un contact que vous n'avez pas sollicité, un délai fabriqué et une demande de votre phrase de récupération ou d'une signature sur une page atteinte via un lien. WATS est entièrement non-custodial et ne détient jamais de clé : personne chez WATS n'aura donc jamais besoin de ces mots. Voici la taxonomie complète des appâts, les vérifications d'URL qui démasquent les clones et ce qu'il faut faire après avoir cliqué.","Comment repérer le phishing crypto : sites clonés dans les publicités de recherche, faux airdrops, faux « support » en message privé, ressorts d'urgence et QR codes piégés — plus la lecture du domaine de droite à gauche, la règle de la phrase de récupération, quoi faire après avoir cliqué et pourquoi WATS, entièrement non-custodial, ne demandera jamais votre phrase de récupération.","\u003Cblockquote>\u003Cp>Le phishing crypto se repère à l'approche plutôt qu'à l'apparence : un contact hors canal que vous n'avez jamais sollicité — un message privé, une publicité de recherche payante, un QR code, une invitation d'agenda —, un délai fabriqué, et une demande qu'aucun interlocuteur légitime ne formule jamais, à savoir votre phrase de récupération ou une signature sur une page atteinte via un lien. Aucun interlocuteur légitime n'a jamais besoin de votre phrase de récupération, et un wallet entièrement non-custodial comme WATS — où vous détenez les clés et où WATS ne détient jamais de clé — n'a aucun compte à déverrouiller ni aucune raison de réclamer ces mots. Le design ne prouve rien : vérifiez donc le domaine caractère par caractère et lisez-le de droite à gauche, car le nom enregistré se situe juste avant le domaine de premier niveau, ce qui fait de app.wallet.com.claim-rewards.io le site claim-rewards.io. N'arrivez jamais sur un site financier par une publicité, un message privé ou un QR code : mettez la vraie adresse en favori une fois pour toutes et n'entrez que par ce favori, et rappelez-vous que HTTPS et un cadenas prouvent le chiffrement, pas l'honnêteté. Si vous avez déjà cliqué, triez selon ce qui a suivi : fermer l'onglet est généralement sans conséquence, se connecter sans signer n'expose que votre adresse, une signature impose de passer en revue l'activité récente et de révoquer dès maintenant les autorisations de tokens que vous ne reconnaissez pas, et une phrase de récupération saisie signifie que le wallet est compromis définitivement et que tout doit être transféré immédiatement vers un wallet fraîchement généré.\u003C\u002Fp>\u003C\u002Fblockquote>\n\n\u003Ch2>Comment repérer le phishing crypto ?\u003C\u002Fh2>\n\u003Cp>\u003Cstrong>Le phishing crypto\u003C\u002Fstrong> se trahit par trois signaux : une approche hors canal — un message privé, une publicité ou une invitation que vous n'avez pas sollicités —, un délai fabriqué (« réclamez sous 10 minutes », « votre wallet est en danger ») et une demande qu'aucun interlocuteur légitime ne formule jamais : votre phrase de récupération, ou une signature sur une page atteinte via un lien. Vérifiez le domaine caractère par caractère, et confirmez par un canal auquel vous faites déjà confiance.\u003C\u002Fp>\n\u003Cp>Le phishing est la moitié sociale de l'attaque. La moitié technique — l'autorisation ou la signature malveillante qui attend derrière le lien — relève des \u003Ca href=\"\u002Fblog\u002Fwhat-is-a-wallet-drainer\">wallet drainers\u003C\u002Fa>, et cet article en couvre la mécanique on-chain. Celui-ci porte sur l'étape d'avant : reconnaître l'appât tant que vos fonds sont encore les vôtres.\u003C\u002Fp>\n\n\u003Ch2>La taxonomie des appâts : cinq façons de vous atteindre\u003C\u002Fh2>\n\u003Cp>Presque toutes les campagnes sont une variation autour de cinq modes de livraison. Apprenez les formes, et l'appât précis — le nom du token, la marque usurpée — cesse d'avoir de l'importance.\u003C\u002Fp>\n\u003Ctable>\u003Cthead>\u003Ctr>\u003Cth>Appât\u003C\u002Fth>\u003Cth>Comment ça marche\u003C\u002Fth>\u003Cth>Le signal\u003C\u002Fth>\u003C\u002Ftr>\u003C\u002Fthead>\u003Ctbody>\u003Ctr>\u003Ctd>Site cloné derrière une publicité de recherche\u003C\u002Ftd>\u003Ctd>Une publicité payante placée au-dessus du vrai résultat vous conduit vers une copie au pixel près hébergée sur un domaine sosie\u003C\u002Ftd>\u003Ctd>Le domaine — jamais le design\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd>Fausse réclamation d'airdrop\u003C\u002Ftd>\u003Ctd>« Vous êtes éligible » à un token dont vous vous souvenez vaguement ; la page de réclamation veut une connexion et une signature\u003C\u002Ftd>\u003Ctd>Une éligibilité non sollicitée doublée d'un compte à rebours\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd>« Support » en message privé\u003C\u002Ftd>\u003Ctd>Quelques minutes après votre plainte publique, un compte d'apparence officielle propose son aide via un formulaire de « validation »\u003C\u002Ftd>\u003Ctd>Le vrai support n'écrit jamais le premier en privé\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd>Ressorts d'urgence et de peur\u003C\u002Ftd>\u003Ctd>« Votre wallet va être suspendu », « la migration se termine ce soir » : la panique est le produit\u003C\u002Ftd>\u003Ctd>Un délai introuvable sur le moindre canal officiel\u003C\u002Ftd>\u003C\u002Ftr>\u003Ctr>\u003Ctd>QR codes piégés et invitations d'agenda\u003C\u002Ftd>\u003Ctd>Des événements ajoutés automatiquement à votre agenda ou des autocollants QR en conférence vous envoient droit sur le clone\u003C\u002Ftd>\u003Ctd>Vous ne l'avez jamais demandé\u003C\u002Ftd>\u003C\u002Ftr>\u003C\u002Ftbody>\u003C\u002Ftable>\n\n\u003Ch2>Comment les faux sites crypto piègent-ils les gens ?\u003C\u002Fh2>\n\u003Cp>Les sites clonés fonctionnent parce que le design se copie gratuitement. Un attaquant reproduit en quelques minutes le site d'une vraie dApp ou d'un vrai wallet — logo, mise en page, bouton de connexion —, l'héberge sur un domaine sosie, puis achète une publicité de recherche pour que la copie se retrouve \u003Cem>au-dessus\u003C\u002Fem> de l'original dans les résultats, ou sème le lien dans des réponses, des messages privés et de faux posts d'airdrop. Les clones diffusés par publicité sont efficaces précisément parce que cliquer sur le premier résultat de recherche donne l'impression d'être prudent, pas imprudent. La page se comporte parfaitement jusqu'à l'instant où elle vous demande de signer ou de « vérifier » : l'apparence d'un site ne dit rien de ce qu'il est. Seul le domaine le dit.\u003C\u002Fp>\n\n\u003Ch2>Comment savoir si une URL est fausse ?\u003C\u002Fh2>\n\u003Cp>Le domaine est la seule chose qu'un attaquant ne peut pas copier à l'identique — il s'en approche donc et compte sur votre inattention. Quatre vérifications en attrapent la quasi-totalité :\u003C\u002Fp>\n\u003Cul>\n\u003Cli>\u003Cstrong>Lisez de droite à gauche.\u003C\u002Fstrong> Le nom enregistré se situe juste avant le domaine de premier niveau (ou le suffixe public — pour les domaines nationaux comme .co.uk, c'est la partie qui précède .co.uk) : dans app.wallet.com.claim-rewards.io, le vrai site est claim-rewards.io, et tout ce qui se trouve à sa gauche n'est que décor.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Traquez les caractères substitués.\u003C\u002Fstrong> Un rn qui joue le rôle d'un m, un 1 à la place d'un l, un 0 à la place d'un o, ou une lettre sosie empruntée à un autre alphabet : un seul caractère suffit à un clone. Les noms de domaine ne distinguent pas les majuscules des minuscules, donc l'astuce ne tient jamais à la casse : elle tient aux formes. Les navigateurs révèlent souvent la version empruntée à un autre alphabet en affichant l'adresse sous sa forme punycode brute xn--… au lieu du mot attendu, ce qui constitue en soi une raison de s'arrêter.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Méfiez-vous du chemin d'accès, pas seulement de l'adresse.\u003C\u002Fstrong> N'entrez jamais sur un site financier par une publicité, un message privé, un QR code ou une invitation d'agenda. Mettez les sites officiels en favori une fois, depuis une source de confiance, et n'y accédez que par le favori.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Ignorez le cadenas.\u003C\u002Fstrong> HTTPS prouve que la connexion est chiffrée, pas que le site est honnête : les sites de phishing disposent eux aussi de certificats valides.\u003C\u002Fli>\n\u003C\u002Ful>\n\n\u003Ch2>La seule règle qui en déjoue l'essentiel\u003C\u002Fh2>\n\u003Cp>Quel que soit l'emballage, presque toutes les campagnes convergent vers les deux mêmes demandes : saisir votre phrase de récupération, ou signer quelque chose sur une page où vous n'avez pas navigué vous-même. Une seule règle fait donc l'essentiel du travail de défense : \u003Cem>aucun interlocuteur légitime ne vous demandera jamais votre seed phrase\u003C\u002Fem>. Ni une équipe de wallet, ni une plateforme d'échange, ni un outil de « synchronisation » ou de « validation », ni une réclamation d'airdrop. Comme l'explique \u003Ca href=\"\u002Fblog\u002Fwhat-is-a-seed-phrase\">qu'est-ce qu'une phrase de récupération\u003C\u002Fa>, la phrase \u003Cem>est\u003C\u002Fem> les clés : quiconque détient ces mots détient le wallet, définitivement et irréversiblement. À l'instant où on vous les réclame, vous n'êtes plus dans une conversation avec le support, vous êtes dans un vol.\u003C\u002Fp>\n\n\u003Ch2>Vérifiez le canal, pas le message\u003C\u002Fh2>\n\u003Cp>Le phishing réussit en empruntant un instant un canal auquel vous faites confiance : une boîte de réception, un fil d'actualité, une page de résultats. L'habitude inverse est simple : \u003Cem>n'agissez jamais sur le canal par lequel le message est arrivé\u003C\u002Fem>. Si le « support » vous écrit en privé, fermez la conversation et ouvrez un ticket depuis le site officiel du projet. Si un e-mail annonce que votre wallet doit être migré, passez par votre favori et cherchez-y l'annonce. Si un airdrop est réel, il sera publié sur les canaux que vous suivez déjà — pas sur ceux qui vous ont trouvé.\u003C\u002Fp>\n\u003Cp>L'urgence existe précisément pour empêcher cette vérification. Un vrai délai survit à dix minutes de contrôle ; un faux est conçu pour ne pas y survivre. Ces habitudes s'insèrent dans une routine plus large — discipline de signature, hygiène des autorisations, stockage des clés — détaillée dans les \u003Ca href=\"\u002Fblog\u002Fcrypto-wallet-security-best-practices\">bonnes pratiques de sécurité d'un wallet crypto\u003C\u002Fa>.\u003C\u002Fp>\n\n\u003Ch2>Que faire si vous avez cliqué sur un lien de phishing ?\u003C\u002Fh2>\n\u003Cp>Triez selon ce qui s'est passé \u003Cem>après\u003C\u002Fem> le clic — le clic seul est rarement le dommage.\u003C\u002Fp>\n\u003Col>\n\u003Cli>\u003Cstrong>Vous avez cliqué et rien fait d'autre.\u003C\u002Fstrong> Fermez l'onglet. Le simple fait qu'un navigateur moderne visite une page n'expose pas vos clés.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Vous avez connecté votre wallet mais n'avez rien signé.\u003C\u002Fstrong> Se connecter révèle votre adresse et permet au site de proposer des transactions ; cela n'accorde aucun accès aux fonds. Déconnectez le site dans les réglages de votre wallet et passez à autre chose.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Vous avez signé une transaction ou un message.\u003C\u002Fstrong> Partez du principe que quelque chose a été accordé : passez en revue l'activité récente de votre wallet et révoquez toute autorisation de token que vous ne reconnaissez pas. Sachez qu'une signature off-chain — un message de type Permit — ne laisse aucune trace dans votre historique de transactions tant que l'attaquant ne s'en sert pas réellement ; un historique vide ne prouve donc pas qu'aucune autorisation n'a été donnée. Si le wallet contient quoi que ce soit que vous ne pouvez pas vous permettre de perdre, transférez aussi ces actifs vers un nouveau wallet. L'article sur les drainers cité plus haut explique précisément ce que ces signatures autorisent.\u003C\u002Fli>\n\u003Cli>\u003Cstrong>Vous avez saisi votre phrase de récupération.\u003C\u002Fstrong> Le wallet est compromis et irréparable : générez un nouveau wallet sur un appareil sain et transférez-y tout immédiatement. Les attaquants automatisent le balayage des phrases fraîchement hameçonnées ; la vitesse est le seul levier dont vous disposez.\u003C\u002Fli>\n\u003C\u002Fol>\n\n\u003Ch2>La place de WATS\u003C\u002Fh2>\n\u003Cp>\u003Ca href=\"\u002Fsecurity\">WATS\u003C\u002Fa> est entièrement non-custodial sur ses quatre produits : l'extension Chrome, l'application mobile, le Hot Wallet et la NFC Metal Card. Vous détenez les clés, et WATS ne détient jamais de clé. C'est ce qui rend la règle unique triviale à appliquer : il n'existe aucun compte côté WATS qu'un faux « agent du support » pourrait déverrouiller, aucune copie côté WATS de votre phrase de récupération à « re-vérifier », et aucune situation dans laquelle WATS aurait besoin de ces mots. Tout message qui les réclame en arborant l'identité visuelle de WATS est du phishing par définition, aussi bien le logo soit-il copié.\u003C\u002Fp>\n\u003Cp>Il vaut la peine d'être précis sur ce que cela vous apporte et ce que cela ne vous apporte pas, car c'est en survendant ce point que l'on met les gens en danger. La non-conservation n'est pas une fonctionnalité anti-phishing : l'auto-conservation signifie que la défense repose sur vos habitudes, et une phrase saisie sur un site cloné est perdue quel que soit le wallet qui l'a générée. Ce que la non-conservation supprime, c'est toute une surface d'ingénierie sociale — la « récupération de compte », le « déblocage de conformité », l'histoire du « solde gelé » — parce que ces prétextes ne fonctionnent que là où une entreprise détient quelque chose pour votre compte. La \u003Ca href=\"\u002Fnfc-card\">NFC Metal Card\u003C\u002Fa> de WATS relève de la même mise au point : elle ne stocke aucune clé privée ni aucune phrase de récupération, elle authentifie par tap des clés qui restent à l'intérieur des applications WATS, et chaque carte porte un identifiant unique appairé à exactement un appareil. Ainsi, quiconque vous demande d'« activer », d'« enregistrer » ou de « valider » une carte en saisissant votre phrase de récupération sur une page mène une arnaque, pas une étape de configuration.\u003C\u002Fp>\n\u003Cp>La version pratique de tout cela est courte. Installez WATS depuis la \u003Ca href=\"\u002Fdownload\">page de téléchargement\u003C\u002Fa> officielle plutôt que depuis une publicité, un message privé ou un QR code qu'on vous a tendu, mettez cette adresse en favori dès la première fois, et passez ensuite systématiquement par ce favori. Notez la phrase générée par WATS, gardez-la hors ligne et traitez toute demande de cette phrase — sur n'importe quel canal, sous n'importe quelle formulation, de la part de n'importe qui — comme l'attaque qu'elle est. Ces trois habitudes, plus la lecture du domaine de droite à gauche, sont ce qui garde réellement intact un wallet en auto-conservation.\u003C\u002Fp>",[10,13,16,19,22],{"q":11,"a":12},"Une entreprise crypto légitime me demandera-t-elle un jour ma phrase de récupération ?","Non — jamais, en aucune circonstance. La phrase de récupération est la clé maîtresse qui régénère chaque clé privée de votre wallet, et aucune équipe de wallet, plateforme d'échange, agent du support ou airdrop n'en a besoin pour quoi que ce soit : les problèmes de support se résolvent dans le logiciel, pas en prenant la garde de vos clés. Tout formulaire, message privé, pop-up ou « outil de validation » qui réclame ces mots est une tentative de phishing, point final, quelle que soit son apparence officielle.",{"q":14,"a":15},"WATS me demandera-t-il un jour ma phrase de récupération ?","Non. WATS ne vous demandera jamais votre phrase de récupération, sur aucun canal et pour aucune raison. WATS est entièrement non-custodial — vous détenez les clés et WATS ne détient jamais de clé — : il n'y a donc aucun compte à déverrouiller, aucun solde à libérer et aucune action de support qui pourrait exiger ces mots. Votre phrase ne se saisit jamais que dans votre propre application WATS, lors de la configuration ou de la récupération. Quiconque vous contacte au nom de WATS en réclamant la phrase, ou vous dirige vers une page qui la réclame, mène une attaque de phishing ; la bonne réaction est de vous arrêter et de rejoindre vous-même le site officiel plutôt que de répondre.",{"q":17,"a":18},"Comment vérifier qu'un site crypto est authentique ?","Lisez le domaine de droite à gauche : le nom enregistré se situe juste avant le domaine de premier niveau (ou le suffixe public — pour les domaines nationaux comme .co.uk, c'est la partie qui précède .co.uk), si bien que app.wallet.com.claim-site.io est claim-site.io, et non wallet.com. Cherchez les caractères substitués, comme un rn qui joue le rôle d'un m. N'arrivez jamais par une publicité, un message privé ou un QR code : naviguez depuis un favori enregistré à partir d'une source officielle. Un cadenas ne prouve que le chiffrement ; les sites de phishing disposent eux aussi de certificats valides.",{"q":20,"a":21},"Utiliser un wallet non-custodial comme WATS me protège-t-il du phishing ?","En partie, et il est important de savoir dans quelle partie. Le fait que WATS soit entièrement non-custodial supprime les prétextes sur lesquels le phishing s'appuie le plus — il n'y a aucun compte détenu par WATS à « récupérer », « déverrouiller » ou « vérifier », et WATS ne détient jamais de clé ni n'a besoin de votre phrase de récupération —, si bien que tout message reprenant ce scénario est immédiatement identifiable comme faux. Ce que cela ne fait pas, c'est vous empêcher de saisir votre phrase sur un site cloné ou de signer une transaction malveillante ; en auto-conservation, ces décisions n'appartiennent qu'à vous. Le wallet supprime le mensonge ; vos habitudes — favoris, vérification du domaine, lecture de ce que vous signez — arrêtent le vol.",{"q":23,"a":24},"Que dois-je faire si j'ai saisi ma phrase de récupération sur un site de phishing ?","Considérez le wallet comme définitivement compromis — une phrase divulguée ne peut pas être reprise, et changer un mot de passe ne sert à rien puisque la phrase, ce sont les clés. Créez un wallet entièrement neuf avec une phrase de récupération fraîchement générée sur un appareil sain, en installant l'application depuis une source officielle à laquelle vous avez accédé vous-même plutôt que depuis un lien du message qui vous a piégé, puis transférez immédiatement chaque actif vers les nouvelles adresses ; les attaquants automatisent le balayage des phrases hameçonnées, la vitesse compte donc. Ensuite, examinez tout ce que l'ancienne phrase protégeait par ailleurs et mettez-la hors service partout.",1786059341671]